Политика обработки персональных данных сервиса Casewave

Редакция 1.0. Утверждена 21.08.2026. Действует с 21.08.2026.

Документ разработан во исполнение части 2 статьи 18.1 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» и определяет политику Оператора в отношении обработки персональных данных, а также сведения о реализуемых требованиях к их защите.

1. Оператор

Оператор предоставляет сервис Casewave (далее — Сервис) — веб-приложение для создания, модерации и публикации профессионального портфолио, доступное по адресу https://casewave.ru.

Реквизиты Оператора: Физическое лицо.

Действующая редакция Политики размещена по адресу https://casewave.ru/legal/privacy и доступна без регистрации и без взимания платы.

2. Термины

Термины «персональные данные», «обработка», «оператор», «субъект персональных данных», «распространение», «уничтожение», «блокирование» используются в значениях, определённых статьёй 3 Федерального закона № 152-ФЗ.

Дополнительно в Политике используются термины Сервиса:

• Пользователь — физическое лицо, зарегистрировавшее учётную запись в Сервисе.
• Портфолио — набор данных Пользователя, подготовленный им в редакторе Сервиса.
• Ревизия — неизменяемый снимок содержимого портфолио, отправляемый на модерацию.
• Публикация — размещение одобренной ревизии на общедоступной странице Сервиса.
• Посетитель — лицо, просматривающее опубликованные страницы без регистрации.

3. Правовые основания обработки

Оператор обрабатывает персональные данные на следующих основаниях:

1. Согласие субъекта на обработку персональных данных — пункт 1 части 1 статьи 6 Федерального закона № 152-ФЗ. Согласие даётся при регистрации путём проставления отметки о принятии настоящей Политики. Сервис фиксирует дату, редакцию документа, идентификатор запроса и хеш сетевого адреса, с которого выражено согласие.
2. Исполнение договора, стороной которого является субъект персональных данных, — пункт 5 части 1 статьи 6 Федерального закона № 152-ФЗ (предоставление доступа к Сервису на условиях Пользовательского соглашения).
3. Отдельное согласие на обработку персональных данных, разрешённых субъектом для распространения, — статья 10.1 Федерального закона № 152-ФЗ. Такое согласие Пользователь даёт отдельным действием при отправке портфолио на модерацию для последующей публикации. Согласие на распространение не может быть получено умолчанием или бездействием: отказ от него не лишает Пользователя доступа к Сервису, но делает публикацию невозможной.
4. Осуществление прав и законных интересов Оператора — пункт 7 части 1 статьи 6 Федерального закона № 152-ФЗ (обеспечение безопасности Сервиса, предотвращение злоупотреблений, расследование инцидентов).
5. Исполнение обязанностей, возложенных на Оператора законодательством, — пункт 2 части 1 статьи 6 Федерального закона № 152-ФЗ.

4. Категории субъектов персональных данных

1. Пользователи Сервиса.
2. Работники и привлечённые лица Оператора, выполняющие роли модератора и администратора.
3. Третьи лица, персональные данные которых Пользователь самостоятельно включил в содержимое своего портфолио (соавторы, заказчики, изображённые на фотографиях лица). В отношении таких данных Пользователь действует самостоятельно и обязан располагать их согласием, включая согласие на обнародование и использование изображения (статья 152.1 Гражданского кодекса Российской Федерации). Оператор обрабатывает эти данные как содержимое, размещённое Пользователем, и удаляет их по обращению заинтересованного лица в порядке раздела 11.

5. Категории обрабатываемых персональных данных

5.1. Данные учётной записи

• адрес электронной почты;
• хеш пароля (пароль в открытом виде Оператору неизвестен и не хранится);
• роль в Сервисе и статус учётной записи;
• отметки времени подтверждения адреса электронной почты и подтверждения личности;
• даты создания, изменения и удаления учётной записи.

5.2. Данные сеанса и служебные токены

• хеш токена сеанса, срок его действия, время последней активности, отметка об отзыве;
• хеши одноразовых токенов подтверждения адреса электронной почты и восстановления пароля, их назначение, срок действия и отметка об использовании;
• значения технических файлов cookie (раздел 8).

5.3. Данные подтверждения личности через сторонний сервис

При подтверждении личности через VK или «Одноклассники» Оператор получает и хранит:

• наименование провайдера (VK или OK);
• идентификатор Пользователя на стороне провайдера;
• дату подтверждения, а также дату, инициатора и причину отзыва подтверждения.

Токены доступа и обновления, выданные провайдером, не сохраняются в базе данных, не записываются в журналы и в аудит, не передаются в браузер и уничтожаются сразу после получения идентификатора Пользователя. Ссылка на профиль Пользователя в социальной сети на публичных страницах не отображается.

5.4. Содержимое портфолио, размещаемое Пользователем

Пользователь самостоятельно определяет состав этих данных:

• отображаемое имя (до 80 символов) и профессиональная специализация (до 120 символов);
• изображение профиля;
• текст «о себе» (до 5 000 символов);
• город или регион (необязательно);
• контактные email, телефон и Telegram (необязательно; заполненные значения публикуются);
• перечень навыков (до 20 значений);
• внешние ссылки (до 5 значений: подпись и адрес);
• работы: название, краткое описание, развёрнутое описание, обложка, её альтернативный текст, фокусная точка и масштаб кадрирования, галереи изображений, ссылка на проект, ссылка на видео, навыки, а также специализированные поля выбранного профессионального направления (роль, инструменты, период, площадка, метрики и иные поля в зависимости от направления);
• внутреннее название портфолио, видимое только Пользователю.

5.5. Изображения

Загруженные изображения проверяются по фактическому содержимому и перекодируются сервером в форматы WebP и AVIF в трёх размерах. Метаданные исходного файла, включая данные EXIF и содержащиеся в них координаты съёмки, сведения об устройстве и дате, в производные файлы не переносятся и Оператором не хранятся.

Изображения обрабатываются исключительно как содержимое портфолио. Оператор не использует изображения для установления личности субъекта, поэтому они не относятся к биометрическим персональным данным в значении статьи 11 Федерального закона № 152-ФЗ.

5.6. Данные модерации и аудита

• сведения о решениях модерации: результат, причина, комментарий, автор решения, время;
• неизменяемый журнал аудита: идентификатор действующего лица, действие, тип и идентификатор объекта, служебные параметры действия, идентификатор запроса, время.

5.7. Технические данные

При каждом обращении к Сервису на стороне сервера обрабатываются IP-адрес, сведения о браузере и операционной системе, передаваемые браузером, адрес запрашиваемой страницы, время обращения и идентификатор запроса. Эти данные обрабатываются в целях обеспечения работоспособности и безопасности Сервиса, в том числе для ограничения частоты запросов, и хранятся в журналах сервера в течение срока, указанного в разделе 9.

5.8. Данные, которые Оператор не обрабатывает

Оператор не запрашивает и не обрабатывает специальные категории персональных данных (статья 10 Федерального закона № 152-ФЗ), биометрические персональные данные (статья 11), сведения о платёжных картах и банковских счетах, а также данные о точном местоположении. Пользователю не следует размещать такие сведения в содержимом портфолио.

Сервис не предназначен для лиц, не достигших 18 лет. Оператор не обрабатывает персональные данные несовершеннолетних осознанно; при выявлении такой учётной записи она блокируется, а данные удаляются.

6. Цели обработки

• Регистрация, аутентификация и восстановление доступа. Данные учётной записи, данные сеанса и служебные токены. Основания: пункты 1 и 5 части 1 статьи 6.
• Подтверждение личности и предоставление расширенного лимита портфолио. Данные подтверждения личности через сторонний сервис. Основание: пункт 1 части 1 статьи 6.
• Подготовка и хранение портфолио. Содержимое портфолио, изображения. Основания: пункты 1 и 5 части 1 статьи 6.
• Модерация содержимого перед публикацией. Содержимое портфолио, данные модерации и аудита. Основания: пункт 5 части 1 статьи 6, пункт 7 части 1 статьи 6.
• Публикация портфолио на общедоступной странице и его выгрузка в PDF. Содержимое портфолио, разрешённое Пользователем для распространения. Основание: статья 10.1.
• Направление сообщений, необходимых для работы Сервиса (подтверждение адреса электронной почты, восстановление пароля, уведомления о решениях модерации и блокировках). Данные учётной записи. Основание: пункт 5 части 1 статьи 6.
• Обеспечение безопасности, предотвращение злоупотреблений, расследование инцидентов. Технические данные, журнал аудита, данные сеанса. Основание: пункт 7 части 1 статьи 6.
• Исполнение обязанностей, возложенных законодательством, включая ответы на законные запросы уполномоченных органов. Основание: пункт 2 части 1 статьи 6.

Оператор не использует персональные данные для рекламных рассылок, профилирования в рекламных целях и не передаёт их третьим лицам в этих целях.

7. Особенности обработки данных, разрешённых для распространения

1. Публикация портфолио означает распространение персональных данных в значении статьи 10.1 Федерального закона № 152-ФЗ: опубликованная страница доступна неограниченному кругу лиц, индексируется поисковыми системами и может быть сохранена посетителем, в том числе в виде файла PDF.
2. Согласие на распространение оформляется отдельно от согласия, предусмотренного разделом 3, и содержит перечень персональных данных, разрешённых к распространению, а также установленные Пользователем условия и запреты.
3. Молчание или бездействие Пользователя ни при каких обстоятельствах не считается согласием на распространение.
4. Пользователь вправе в любой момент снять портфолио с публикации самостоятельно в личном кабинете, а также направить Оператору требование о прекращении передачи (распространения) своих персональных данных. Такое требование исполняется в течение трёх рабочих дней с момента его получения.
5. Оператор не может обеспечить удаление копий опубликованных сведений из кешей поисковых систем, архивов интернета и с устройств третьих лиц, сохранивших страницу или файл PDF до снятия публикации. Оператор прекращает распространение со своей стороны и по обращению Пользователя направляет уведомления операторам поисковых систем в пределах предоставленных ими механизмов.
6. Наружу передаются только поля, включённые в перечень публикуемых. Внутреннее название портфолио, идентификаторы ревизий и работ, служебные хеши и непубличные поля направления на общедоступные страницы, в общедоступный интерфейс данных и в файл PDF не попадают.
7. Снятая с публикации, отклонённая или заблокированная страница отвечает одинаково для всех посетителей и не раскрывает ни статус портфолио, ни факт его существования.

8. Файлы cookie

Сервис использует только технически необходимые файлы cookie:

• casewave_session — идентификатор сеанса. Устанавливается с признаками HttpOnly, SameSite=Lax и, в производственной среде, Secure. Недоступен сценариям на странице.
• casewave_csrf — токен защиты от межсайтовой подделки запроса. Доступен сценариям Сервиса, самостоятельного значения не имеет, персональные данные не содержит.

Файлы cookie аналитических, рекламных и иных сторонних систем Сервисом не устанавливаются. Системы веб-аналитики и счётчики посещаемости на общедоступных страницах не размещаются.

На страницах отдельных работ по выбору Пользователя может размещаться видеоплеер YouTube или Rutube. В этом случае при воспроизведении видео соответствующий сервис получает IP-адрес посетителя и может устанавливать собственные файлы cookie в соответствии со своей политикой конфиденциальности; Оператор не контролирует эту обработку. Адрес плеера формируется сервером из ограниченного перечня разрешённых адресов, а YouTube подключается в режиме, ограничивающем отслеживание.

9. Сроки обработки и хранения

• Данные учётной записи — до её удаления Администратором по подтверждённому обращению Пользователя. Такое удаление необратимо и выполняется без периода восстановления.
• Данные сеанса — до истечения срока действия сеанса или его отзыва, но не более 30 дней; отозванные записи удаляются фоновой очисткой.
• Одноразовые токены подтверждения и восстановления — до использования или истечения срока действия, после чего они непригодны для повторного применения.
• Содержимое портфолио и загруженные изображения — до удаления портфолио Пользователем; после удаления данные и медиафайлы сохраняются 30 дней для возможности восстановления администратором, затем уничтожаются фоновой задачей. Адрес опубликованной страницы (slug) остаётся зарезервированным не менее 12 месяцев и не передаётся другому Пользователю. При полном удалении учётной записи Администратором адрес освобождается немедленно вместе с принадлежащим ей портфолио.
• Незавершённые загрузки изображений — 24 часа с момента создания намерения загрузки, после чего удаляются вместе с временными файлами.
• Производные файлы PDF — не более 30 дней с момента формирования; при решении модерации, блокировке и разблокировке они удаляются немедленно.
• Журнал аудита — в течение всего срока работы Сервиса с момента записи. Записи журнала неизменяемы; они не содержат содержимого портфолио и паролей.
• Журналы сервера с техническими данными — 30 дней с момента записи.
• Данные, обрабатываемые для исполнения обязанностей, возложенных законодательством, — в течение сроков, установленных соответствующими нормативными актами.

По достижении цели обработки или в случае утраты необходимости в её достижении персональные данные уничтожаются в срок, не превышающий 30 дней, если иной срок не установлен законодательством.

10. Порядок и условия обработки

1. Обработка ведётся смешанным способом: автоматизированная обработка в информационной системе Сервиса и обработка без использования средств автоматизации при рассмотрении обращений субъектов.
2. Решения, порождающие юридические последствия для Пользователя, в том числе решения модерации, блокировки и разблокировки, принимает работник Оператора. Решения исключительно на основании автоматизированной обработки персональных данных не принимаются.
3. Базы данных, содержащие персональные данные граждан Российской Федерации, расположены на территории Российской Федерации (часть 5 статьи 18 Федерального закона № 152-ФЗ). Размещение обеспечивается ООО «Регистратор доменных имен РЕГ.РУ», Российская Федерация, г. Москва, регион размещения REG.RU msk3.
4. Трансграничная передача персональных данных Оператором не осуществляется. Публикация портфолио на общедоступной странице не является трансграничной передачей: доступ к опубликованным данным получает неограниченный круг лиц в силу выраженного Пользователем согласия на распространение.
5. Персональные данные не передаются третьим лицам, за исключением:
   • поставщика услуг доставки электронной почты — в объёме адреса электронной почты и текста сообщения, необходимого для работы Сервиса (Оператор самостоятельно, на инфраструктуре указанного хостинг-провайдера);
   • поставщика услуг размещения инфраструктуры (ООО «Регистратор доменных имен РЕГ.РУ»);
   • уполномоченных государственных органов — по основаниям и в порядке, установленным законодательством Российской Федерации.
6. С лицами, осуществляющими обработку персональных данных по поручению Оператора, заключается договор, предусматривающий обязанность соблюдать конфиденциальность и требования статьи 19 Федерального закона № 152-ФЗ.
7. Оператор не осуществляет продажу персональных данных и не передаёт их в рекламные и маркетинговые сети.

11. Права субъекта персональных данных и порядок обращения

Субъект персональных данных имеет право:

• получать сведения, предусмотренные частью 7 статьи 14 Федерального закона № 152-ФЗ, в том числе о факте, целях, способах и сроках обработки его персональных данных;
• требовать уточнения, блокирования или уничтожения персональных данных, если они являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки;
• отозвать согласие на обработку персональных данных;
• направить требование о прекращении передачи (распространения) персональных данных, разрешённых для распространения;
• обжаловать действия или бездействие Оператора в Роскомнадзоре или в судебном порядке.

Часть прав реализуется Пользователем самостоятельно в личном кабинете: изменение содержимого портфолио, снятие портфолио с публикации, удаление портфолио, отзыв подтверждения личности и завершение активных сеансов.

Удаление учётной записи выполняется Администратором по подтверждённому обращению Пользователя после проверки личности заявителя.

Обращение направляется на адрес privacy@casewave.ru и должно содержать сведения, предусмотренные частью 3 статьи 14 Федерального закона № 152-ФЗ: номер основного документа, удостоверяющего личность, сведения о дате выдачи и выдавшем органе, сведения, подтверждающие участие субъекта в отношениях с Оператором (например, адрес электронной почты учётной записи), либо сведения, иным образом подтверждающие факт обработки данных, подпись субъекта или его представителя. Обращение, направленное с адреса электронной почты, указанного в учётной записи, рассматривается как обращение Пользователя.

Срок рассмотрения обращения — 10 рабочих дней со дня его получения. Срок может быть продлён не более чем на 5 рабочих дней с направлением субъекту уведомления о причинах продления.

Отзыв согласия влечёт прекращение обработки и уничтожение персональных данных в срок, не превышающий 30 дней, за исключением случаев, когда обработка продолжается на ином законном основании, предусмотренном частями 2 и 3 статьи 9 Федерального закона № 152-ФЗ. Требование о прекращении распространения исполняется в течение трёх рабочих дней.

12. Меры по обеспечению безопасности

В соответствии со статьями 18.1 и 19 Федерального закона № 152-ФЗ Оператор принимает следующие меры:

• назначен ответственный за организацию обработки персональных данных;
• утверждены настоящая Политика и локальные акты по вопросам обработки и защиты персональных данных, определён перечень лиц, допущенных к обработке;
• применяется разграничение доступа по ролям: содержимое, не отправленное на модерацию, недоступно модератору; модератор не рассматривает собственные портфолио; доступ к непубличным материалам ограничен сроком открытой модерации;
• пароли хранятся только в виде хешей, вычисленных с использованием алгоритма Argon2; токены сеансов и одноразовые токены хранятся в виде хешей;
• сеанс передаётся в файле cookie с признаками HttpOnly, SameSite=Lax и Secure; изменяющие запросы защищены проверкой источника запроса и токеном CSRF;
• обмен данными выполняется по протоколу HTTPS; применяется политика безопасности содержимого (CSP), ограничивающая источники сценариев, стилей и встраиваемых кадров;
• действует ограничение частоты запросов к интерфейсу;
• ведётся неизменяемый журнал аудита действий с идентификатором запроса;
• загружаемые файлы проверяются по фактическому содержимому, перекодируются сервером и очищаются от метаданных;
• медиафайлы хранятся в объектном хранилище и выдаются только по проверенным разрешениям; ссылки на приватные материалы не индексируются;
• выполняется резервное копирование с контролем доступа к резервным копиям;
• проводится оценка вреда, который может быть причинён субъектам персональных данных, и внутренний контроль соответствия обработки требованиям законодательства.

При установлении факта неправомерной или случайной передачи персональных данных, повлёкшей нарушение прав субъектов, Оператор уведомляет Роскомнадзор в течение 24 часов о произошедшем инциденте и в течение 72 часов — о результатах внутреннего расследования (часть 3.1 статьи 21 Федерального закона № 152-ФЗ).

13. Изменение Политики

Оператор вправе изменять настоящую Политику. Действующая редакция размещается по адресу https://casewave.ru/legal/privacy с указанием даты вступления в силу. Об изменениях, существенно затрагивающих права Пользователей, Оператор уведомляет по адресу электронной почты, указанному в учётной записи, не менее чем за 10 дней до вступления изменений в силу. Продолжение использования Сервиса после вступления изменений в силу означает согласие с новой редакцией; при несогласии Пользователь вправе отозвать согласие и направить требование об удалении учётной записи.

14. Реквизиты для обращений

• Электронная почта: privacy@casewave.ru

Надзорный орган: Федеральная служба по надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзор), 109992, г. Москва, Китайгородский пр., д. 7, стр. 2.